医療現場で考えるべきセキュリティー 第5回 経営者層向け研修 ー
2024年2月6日
大阪大学 教授, CISO
猪俣敦夫, Ph.D, CISSP
情報処理安全確保支援士（令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業）

AGENDA はじめに セキュリティの重要性理解と経営者の意識
 セキュリティの基本と考え方
 経営者の心がけと対策 おわりに

2

はじめに

3

自己紹介（いのまたあつお）
大阪大学教授サイバーメディアセンター副センター長、大学院情報科学研究科

情報セキュリティ本部 情報セキュリティ対策室室長, OU-CSIRT隊長

立命館大学 客員教授
(一社) JPCERTコーディネーションセンター

理事IPA 情報処理安全確保支援士

特定講習講師(一社) 公衆無線LAN認証管理機構 代表理事

NICT CYDER委員、SecHack365コースマスター

(一社) ライフデータイニシアティブ(LDI)

理事

(一社) 大学ICT協議会（AXIES）理事

近畿経済産業局・近畿総合通信局：関西サイバーセキュリティ・ネットワーク有識者

京都女子大学、岡山大学、東京薬科大学、慶應義塾大学、奈良先端大、東京電機大学 講師



奈良県警察サイバーセキュリティ対策アドバイザ



大阪府警察サイバーセキュリティアドバイザ



経済産業省 ソフトウェアセキュリティ委員



NEXCO東日本・中日本・西日本：ETCシステム委員、



総務省公衆無線LANセキュリティ委員



NISC 東京オリンピック・パラリンピックサイバー
セキュリティ有識者会議座長

大阪急性期・総合医療センター 情報セキュリティイン
シデント調査委員会 委員長….等多数。

(株)カプコン セキュリティ監督委員



専門分野：暗号理論（楕円曲線）、ネットワークセキュ
リティ、セキュリティ若手人材育成



阪急阪神HD (株) サイバーセキュリティ顧問



奈良市在住



(株)ベネッセHD 情報セキュリティ監視委員

4

セキュリティの相談を行える人が何人いますか？

5セキュリティの重要性理解と経営者の意識

6

サイバー攻撃による被害は「モノ」から「ヒト」に 2021年10月31日徳島県つるぎ町立半田病院内のほぼ全てのデータ（モノ）が海外の悪いハッカーグループによって強制的に暗号化され、人質に…

 復元（暗号鍵）の引き換えと条件に金銭要求される「ランサムウェア」によるサイバー攻撃

85,000人分の電子カルテにアクセスできず、診療がほぼすべて出来なくなり、病院としての機能を失うことに

病院側は攻撃者らとの交渉には一切応じず（経営者による早い判断が重要）、急遽紙カルテによる診療を実施するなど、システム復旧は並行して進められた

地域に密着した医療拠点、だからこその経営層判断は

 のちの被害の軽減を目的とし、報告書が調査委員会により公開されたが…。

7

医療機関におけるサイバー攻撃の現実(大阪急性期・総合医療センターでのケース)
 医業収益の減少、昨年同月比の比率も大幅低下

提供元：大阪急性期・総合医療センター

8

医療機関を狙うのは何故か サイバー攻撃をする悪い人たちは…

「一番楽に侵入できてお金になるデータを奪えそうなところ」を狙う。

偶然、それが（多数存在するセキュリティに「脆弱な組織の1つ」として）医療機関だった。

9

メディアに惑わされやすいトヨタ自動車社の関連会社である小島プレス工業社のサイバー攻撃報道時には、
実に様々な報道や憶測が流れた…
かんばん方式が攻撃された

トヨタ本体のネット工場ネットワーク、トヨタ（情報システワークまで攻撃が侵製造ラインまで影響ムズ）関連会社すべ入したが及んだてに影響が及んだ

トヨタの機密情報が日本の製造業への集ロシアによる盗まれた中的攻撃が行われた

報復攻撃

…

惑わされずに行う、経営者の迅速な判断
サイバー攻撃者側の事実陰謀論？ 狙いは？ 費用対効果？
102023のサイバーセキュリティの現実
情報セキュリティ10大脅威2023

IPA（情報処理推進機構）情報セキュリティ10大脅威2023
https://www.ipa.go.jp/security/vuln/10threats2023.html

11サイバーセキュリティはわからないままでよいのか？

サイバー攻撃は技術的だから専門家や現場でないとわからない？

被害の要因はシステムや製品？

オレオレ詐欺のような攻撃は受けない？

12

新型コロナウイルス感染症の流行以降、益々増加…

13

情報セキュリティマネジメントという視点
ISO/IEC (国際標準化機構: International
Organization for Standardization / 国際電気標準会議: International ElectrotechnicalCommission)

ISO/IEC27001 組織が情報セキュリティマネジメントシステム(ISMS)を確立し、実施・維持し、継続的に改善するための要求事項を提供することを目的として作成された国際規格

ISMS: 情報セキュリティを確保するためのリスクを把握し、企業・組織が適切に管理・運用する仕組み

「医療情報システムの安全管理に関するガイドライン」のベースとなる考え方

セキュリティ推進（各種ガイドラインの遵守）は「リーダーシップ」がないと進まない↓
現場・ベンダー任せからの脱却（まずはきちんと声を聴くところから！）14経営者が動かなければ事業もセキュリティも回らない
ITガバナンスの確立• 情報資産を組織として把握しているか。電カル、部門システム、ベンダーに聞かないとわからない？
経営者のセキュリティ意識と知識• 高度な技術ではなく、判断できる意識知識。経営者向けのセキュリティチェックリストの活用。
リーダーシップが必要不可欠

事業者• 誰が医療継続を考えるのか。過去2年のインシデントが起きても耐えうる組織か。

現場経営者

15

セキュリティの基本と考え方

16

情報セキュリティの3大要素 (CIAからAICへ）
 セキュリティを俯瞰してみるときの重要な要素
機密性(Confidentiality)

完全性(Integrity)

可用性(Availability)• 情報にアクセスすることが認可• 情報（データ）の正当性、正確性、• システムが必要な時にいつでも正(許可)されたものだけがアクセスおよび完全である状態（一貫性）

常なサービスを提供できること

できることを確実にすることを保証すること• サイバー攻撃を受けたとしても最低限の診療が行えるように情• 例えば、ファイルにパスワード• 例えば、Wordで書いた文書報システムが稼働できるようにしておくことをかけること、電子カルテを閲

ファイルは誰も触らなければ30覧するにはIDとパスワードを必分後、3時間、3年後、30年後で要とすることも変更されていないはず（内容• 例えば、停電に時でも非常時用が変わっていなくても更新日時

電源が準備されていて、医療シが変わっていれば誰かが触ったステムが利用できること可能性があり完全性は保証されていないこと）
17

情報という資産は組織の宝？
 情報はたくさん持つ方が強い、という幻想 情報というデータは病院にとっての財産、であるのは当たり前 使っていない用紙はゴミ箱に捨てられるけど、使っていないデータは意外と削除できない人間のさが18

「情報」を持つ、ということは「守る」義務を持つ、ということ＝

情報「情報」の大きさ

資産＝ 「リスク」の大きさ

特定

評価

対応

•情報資産は何か？（重要な情報は•どのようなリスクがどれくらい大•リスクへの対応状況（セキュリ何か？）把握する。

きいのか知る。

ティ対策）を知り、推進する。

経営者が患者に説明できる状況（説明責任を果たせる状況）にする
19

医療機関が守るべき対象は「モノ」ではない「ヒト」である対象範囲は？

院内の状況を踏まえて、実現可能な対策は運用や維持体制を考慮しながら策定
形骸化を避けること
守るべき情報（資産）の棚卸し
20

とかく怖いのは焦り、そして炎上案件
説明責任としての会見（公式見解の発表）

委託先や取引先、ベンダーが悪いというスタンスでの説明

真実を早期に伝えることはとても大切だが、「（悪気がなく誠意の気持ちで）出してはならない情報」を誤って出してしまうことが脅威
契約を丸投げせず、発注側がコントロールできなければ意味なし

21

経営者の視点を「リスク」から「サイバーリスクへ」へ(損失への)
リスク ＝影響度合い

サイバー＝リスク(事業全体への)影響

複雑に要因が絡み合うため損失の見積り（逸失利益まで）が非常に難しい

×

×

発生確率

(サイバー攻撃の)

脅威

(事故の)

×

(組織が持つ環境の)脆弱性

ここは組織のサイバー攻撃への備えによって大きく変わる部分

22

情報資産・リスクの把握・分析から始まる
 リスクベースアプローチに基づいたリスクマネジメントプロセスを定義
 正しい共通理解と明示的な合意のもと医療情報システム等を運用するために、リスクコミュニケーションを実施

対応

特定現状の可視化と把握が大前提

評価

例示

低減

パッチ適用や規程による制御移転

事業者での監視や保険回避

リモートメンテナンスをさせない

受容古いシステムでも使用し続ける23

最近のランサムインシデントの時間的脅威
ー徳島県つるぎ町立半田病院ー「徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議調査報告書」
https://www.handa-hospital.jp/topics/2022/0616/report_01.pdf

2021年10月31日未明
院内にある複数のプリンタから、データを窃取および暗号化した内容の文書の大量印刷を確認
Lockbit2.0によるランサムウェアに感染し、電子カルテなどの端末や関連するサーバーのデータが暗号化され、データが使用できない甚大な被害が生じた
VPN装置の脆弱性を悪用して侵入したものと思われる脆弱性を放置

令和4年1月4日
電子カルテシステム再稼働し通常診療を再開
約2カ月間の通常診療の停止
24

これは災害だ!
ー半田病院の須藤病院事業管理者によるー
地域に根付いた医療の中心• 医療機関は専門部隊をつくるそんな余裕はない、たとえば24/365セキュリティ監視（SOC）を外注したら。
いくらかかるかご存知ですか？そもそも地域に専門的人材がいるのは稀• 半田病院のトリアージ（初動）は災害派遣医療チーム(DMAT)が対応

今や電子カルテは病院の生命線• 医療情報システムはそう簡単にWindows Update然り、セキュリティ対策をすると動作しなくなることも多い→保守のためにウィルス対策をベンダーらが故意に落とすこともある

悪いハッカーたちはある特定の病院を狙っているわけではない• 誰もが自身に降りかかる可能性を前提とした事前の準備が大切

電子カルテシステムへの依存• 若手医師は紙カルテを利用したことがない、そもそも書き方を全く知らない25

大阪急性期・総合医療センター（850床の大規模病院）（参照元）大阪急性期・総合医療センター「情報セキュリティインシデント調査委員会報告書」
26

当然（ベンダが）やってくれていると思っていた、という誤解（参照元）大阪急性期・総合医療センター「情報セキュリティインシデント調査委員会報告書」
27

経営者の心がけと対策

28

医療機関の経営者が考えておくべきこと医療＋組織を継続する体制になっているか？
既存資産・体制の最大活用ができているか？
新しい考え・技術・取り組み推進は？

29

（再掲）
経営者が動かなければ事業もセキュリティも回らない
ITガバナンスの確立• 情報資産を組織として把握しているか。電カル、部門システム、ベンダーに聞かないとわからない？
経営者のセキュリティ意識と知識• 高度な技術ではなく、判断できる意識知識。経営者向けのセキュリティチェックリストの活用。
リーダーシップが必要不可欠
事業者• 誰が医療継続を考えるのか。過去2年のインシデントが起きても耐えうる組織か。
現場経営者
30

「ITガバナンスの確立に向けて」

31

ITガバナンスの確立に向けて
 抑えるべきガイドライン
 厚生労働省 医療情報システムの安全管理に関するガイドライン
 医療機関のサイバーセキュリティ対策チェックリスト
 経営層向けチェックリスト （※後述） 総務省・経産省
 医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドラインなど

32

３省２ガイドライン


医療情報システムの安全管理に関するガイドライン（厚生労働省）


医療機関が医療情報を委託する先に求めるべきセキュリティ対策として組織体制や設置基準、外部委託時に外部事業者と定める契約内容等を示したもの



医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイ
ドライン（総務省・経済産業省）


医療情報を受託するサービスの提供事業者が行うべき医療情報処理設備や装置の物理的安全対策、ソフトウェアやネットワークの技術的、人的安全対策などについて示したもの

厚生労働省：医療情報システムの安全管理に関するガイドライン第6.0版（2023/5)より
33

「経営者のセキュリティ意識と知識」

34

大切な情報（データ）が人質に取られたら、身代金を支払いますか？


米Veeam社による世界のランサム動向調査によると


身代金の支払い 76%



そのうち

復旧できた 52%

復旧できなかった24%

Trellix社による日本のランサム動向調査によると


身代金の支払い 29.7%



そのうち

復旧できた 10.5%



復旧できなかった 19.2%

 皆様はどうお考えになりますか？
35医療機関におけるBCPの観点からガイドラインに準拠した対策を、平常時のコンティジェンシープラン策定• サイバーセキュリティ構築・ベンダーとの交渉等バックアップを考慮• 稼働する電子カルテとは違うシステム、ネットワークに設置、あるいはオフライン環境でのバックアップ管理やテープへの保管• 正しくリストアできるのか定期的なトレーニングもPC・プリンターの備蓄を• 復旧には代替機となる大量のPCが必要に、スタンドアロンでカルテの印刷には大量のトナー、プリンタ用紙も必要に

36

医療機関のサイバーセキュリティ対策
チェックリスト①
 経営層の理解や組織強化のために、経営層自らがチェックリストを活用し、自身のセキュリティの意識と知識を強化していく。

37

医療機関のサイバーセキュリティ対策
チェックリスト②
 項目は18項目。大きく

予防と是正のカテゴリに分かれている。

38

「リーダーシップが必要不可欠」

39

セキュリティも経営層によるリーダーシップが基本
最終的な判断はセキュリティベンダでも院内のシステム担当でもない、「経営者」である• 原点に立ち返り組織の倫理感

事例• C社は開発者の血と汗と涙の結晶であるプログラムコードが人質に取られたが、犯罪者集団の要求には応じなかった• 初動対応の正確さ、社内での迅速な体制づくり• セキュリティ監視委員会の発足• 公正、適正な発表、株主への考慮

ランサムウェア対策にはバックアップしかない、それしかない。

予算を削ってはならない箇所は絶対にある• ログは保存していません、消えてしまいました、では調査はほぼ不可能。ログ管理の徹底• 説明責任（アカウンタビリティ）もセキュリティの要件

40

経営者が動かなければ事業もセキュリティも回らない
ITガバナンスの確立• 各種ガイドラインを把握し、リスクベースアプローチを行う

経営者のセキュリティ意識と知識• 経営者向けのチェックリストを活用し、経営者自ら意識と知識を高める
リーダーシップが必要不可欠• 最終責任は経営者。経営者が説明責任を果たせる体制を

41

おわりに

42

セキュリティは技術だけの話ではない、組織、人、が前提であることを忘れてはならない
私自身の経験においても組織内で新しいシステムを普及させるには平均1年以上かかった•上司が使わねば部下は使わない。上司が新しいシステムやツールを率先して使う•得意な人、技術に長けた人たちでやらせてみようじゃないか、というのは大きな間違い

なんといっても「人」と「IT」のガバナンス。
これが最終的にサイバーセキュリティにとって最も重要43

人のガバナンスを少しづつ解決していくためにも…
 階層別のセキュリティ研修を実施しています。

 経営者の皆様も本研修に限らず、他の研修もぜひご参加ください。

※詳細は本事業のポータルサイト（MIST）をご確認ください。

44

ありがとうございました。

45